令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業【はじめに】

今年度のシステム・セキュリティ
管理者向け研修について

1

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

今年度の研修の構成
開催回

カテゴリ

概要

講師

第１回

オリエン

IT環境における組織の管理

萩原 健太

ID管理やアクセス制御→ITガバナンスと組織管理

第２回
第３回

基礎

脅威や脆弱性→アクセス制御とセキュリティ対策

第４回

効果的なセキュリティの実現

第５回

Windows標準機能の活用

第６回
第７回

実践

インターバルリンク（株）、(一社)ソフトウェア協会

村澤 直毅
後藤 昌宏
日本マイクロソフト(株)萩原 健太
インターバルリンク（株）、(一社)ソフトウェア協会

板東 直樹

脆弱な機器の守り方

アップデートテクノロジー(株)、(一社)ソフトウェア協会

インシデントに備える体制※内容は変更する場合がございます。

2

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

【第4回】システム・セキュリティ管理者向け研修

効果的なセキュリティの実現
2023年11月16日
一般社団法人ソフトウェア協会
萩原 健太（（株）ビジネスブレイン太田昭和、インターバルリンク（株））

3

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本講座の目的
本講座では、組織管理のために一般的な管理の基本的な考え方について理解していただき、
システム管理責任者もしくはセキュリティ責任者として、ITベンダーと十分なコミュニ
ケーションができる知識とスキルを身につけていただきます。
ITベンダーと協力しながら、現場でのさまざ
まな課題を解決することで、円滑なIT運用を行うことを目的としています。

4

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

参照すべき資料
厚生労働省
医療情報システムの安全管理に関するガイドライン

医療機関におけるサイバーセキュリティ対策チェックリスト
医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～

経済産業省
医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン

つるぎ町立半田病院
コンピュータウイルス感染事案有識者会議調査報告書

大阪急性期・総合医療センター
情報セキュリティインシデント調査委員会報告書

5

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

第4回のアジェンダ
各種ガイドラインと現場の葛藤
古いソフトウェアの利用…
まずはできることから
脆弱性情報の収集と対応

6

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

1. 各種ガイドラインと現場の葛藤

7

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

おさえるべきガイドラインや通知
医療情報システムの安全管理に関するガイドライン（厚生労働省）
医療情報を取り扱う情報システム・サービスの提供事業者における安全管
理ガイドライン （経済産業省・総務省）
医療機関における医療機器のサイバーセキュリティ確保のための手引書について（医政参発 0331 第１号,薬生機審発 0331 第16号,薬生安発 0331 第８号）

医療機器プログラムの一部変更に伴う軽微変更手続き等の取扱いについて（機審発 1020 第１号（平成29年10月20日））

8

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業8

医療情報システムの安全管理に関するガイドライン
システム運用編 22ページ
検出するためのパターンファイル等を、医療機関等のシステムの環境等の状況を勘案して、可能な限り、常に最新のものに更新しておく必要がある。
（中略）医療情報システム側の脆弱性を可能な限り小さくしておくことや被害拡大の防止策を講じておくことが重要である。そのために実施すべき対策として、セキュリティ・ ホール（脆弱性）が報告されているソフトウェアへのパッチ適用、利用していないサービスや通信ポ ートの非活性化、ネット
ワークの構成分割やネットワーク間のアクセス制御、マクロ等の利用停止、
メールやファイルの無害化がある。
医療情報システムが利用する情報機器等の脆弱性に関する情報を常に収集し、脆弱性への対応を速やかに行う必要がある。

システム運用編 23ページ
必要に応じて速やかに脆弱性対策を講じることが求められる。その際に、他のソフトウェアの動作等に影響することも想定されることから、事前に事業者に脆弱性対策の実施の可否を確認し、対応が難しい場合には、当該リスクに対する対策や管理方法を協議の上、代替策を講じる必要がある。

収集

協議

パッチ対応

代替案対応
9

公的機関の
メルマガ活用

定例会での必須報告事項

優先順位を
付けた対応

回避・低減策の提案

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

医療機関における医療機器のサイバーセキュリティ確保のための手引書について
表 1 医療機関と医療機器事業者がサイバーセキュリティ対策・インシデント対応で行うこと（概要）*7ページ

SBOM等提出

責任の明確化

脆弱性情報の開示

脆弱性の修正1010

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

SBOMとは？
Software Bill of Matelials• ソフトウェアがどのように構成されているかわかるようにするための管理手法の１つ。（食品等の景品表示と同様）• アメリカでは大統領令、欧州ではサイバーレジリエンス法でも言及され始めている。
• 日本では経済産業省がソフトウェア管理に向けたSBOMの導入手引を公開
Executive Order on Improving the Nation’s Cybersecurity
https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
Cyber Resilience Act
https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act
ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引
https://www.meti.go.jp/press/2023/07/20230728004/20230728004.html

11

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
11参考情報：Application Security Verification Standard（ASVS）
アプリケーションセキュリティ検証標準 4.0（OWASP）
OWASP アプリケーションセキュリティ検証標準はアーキテクト、開発者、テスター、セキュリティ専 門家、ツールベンダ、アプリケーション利用者がセ
キュアなアプリケーションの定義、ビルド、テス ト、検証に使用できるアプリ
ケーションセキュリティ要件またはテストのリストです。
ASVS の使い方 ASVS には主な目標が 2 つあります。
組織がセキュアなアプリケーションを開発および保守するのに役立つこと。
セキュリティサービスベンダ、セキュリティツールベンダ、および利用者が、各々の要件とプロダ クトを調整できるようにすること。
アプリケーションセキュリティ検証レベル
アプリケーションセキュリティ検証標準では 3 つのセキュリティ検証レベルを定義しており、レベルご とに深くなっていきます。
ASVS レベル 1 は低保証レベル向けであり、すべてがペネトレーションテスト可能です。
ASVS レベル 2 は機密データを含むアプリケーション向けであり、保護を必要とし、ほとんどのア
プリに推奨されるレベルです。
ASVS レベル 3 は極めて重要なアプリケーション向けであり、高額取引を行うアプリケーション、
機密性の高い医療データを持つアプリケーション、最高レベルの信頼性を必要とするアプリケー
ションのためのものです。
https://www.saj.or.jp/documents/NEWS/pr/20200903_OWASP_ASVS4.0-ja.pdf

12

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
12

（例示）V2.1 パスワードセキュリティ要件
2.1.1 ユーザが設定するパスワードは、最低 12 文字となっている。
2.1.2 64 文字以上のパスワードが使用できる。
2.1.3 パスワードにスペースを含めることができ、切り捨てが行われない。 任意で、連続した複数のスペースは 1 つにまとめても よい
2.1.4 パスワードに Unicode 文字が使用できる。単一の Unicode
符号点は文字と見なされるため、12 文字の絵文字や 64 文字の 漢字が有効に使用できる必要があります。
2.1.5 ユーザは自身のパスワードを変更できる。
2.1.6 パスワード変更機能には、ユーザの現在のパスワードと新しいパスワードが必要とされる。（つづく）
13

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

2. 古いソフトウェアの利用

14

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

Internet Explorer• Internet

Explorer• Microsoft社が開発したWeb

ブラウザ• 2022年6月15日にサポート
終了• IEモードも2029年に終了「CISA Adds Ten Known Exploited Vulnerabilities to Catalog」(Release DateMarch 30, 2023)
https://www.cisa.gov/news-events/alerts/2023/03/30/cisa-adds-ten-known-exploited-vulnerabilities-catalog

15

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
15

Active X• Active X• ActiveX コントロールは、動画再生や文書編集などを行えるIE上で動作するソフトウェア• 1996年に登場した技術。2025
年10月までに利用停止。 開発元
では2008年4月8日にサポート終了している
コンピュータウイルス・不正アクセスの届出状況について［要旨］
http://www.ipa.go.jp/security/txt/2003/05outline.html

16

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
16

Silverlight• Silverlight• より見やすい優れたグラフィックなどを提供するために必要なソフトウェア。
• 悪意のあるデコーダーを使用して文字列をデコードすると、リモートでコードが実行される脆弱性• 2021年10月12日にサポート終了

https://learn.microsoft.com/ja-jp/security-updates/securitybulletins/2016/ms16-006

17

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
17古い電子カルテシステムは…
徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 ― 技術編 ―（13ページ）
https://www.handa-hospital.jp/topics/2022/0616/report_02.pdf

古い技術

利用

アップデー

マルウェア

トを行わな

感染

い

ウイルス対
策の無効化

18

ウイルス対

策ソフトの
検知

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
18

ソフトウェアの進化と現状

19

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

Windowsのサポート期間
バージョン

発売日

メインストリーム
サポート終了日

延長サポート
終了日

Windows XP

2001年11月16日

2009年4月14日

2014年4月8日

4527日（12年144日）

Windows Vista2007年1月25日

2012年4月10日

2017年4月11日

3730日（10年77日）

Windows 7

2009年10月22日

2015年1月13日

2020年1月14日

3737日（10年85日）

Windows 8.1

2013年11月13日

2018年1月9日

2023年1月10日

3346日（9年59日）Windows 10

2015年7月29日‐

2025年10月14日

3731日（10年78日）

Windows11

2021年10月5日

‐

‐

？

20

サポート期間（発売～延長サポート終了）

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
20

Windowsセキュリティ（例）*標準機能のみ
Windows Defender AV(振る舞い検知)

攻撃検知と対応

Conditional Access
Device Encryption

情報保護

Windows Information Protection
BitLocker

ID 保護
攻撃防御

Windows HelloWindows Firewall
SmartScreen
UEFI Secure Boot

Windows Trusted Boot

デバイス保護Windows Update

Windows7

Windows10

21

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
21

Windows10の緩和策（例）Windows Defender SmartScreen• 悪意のあるアプリケーションがダウンロードされることを防ぐ

Device Guard• デバイスでマルウェアやその他の信頼されていないアプリが実行されることを防ぐ

メモリ保護• マルウェアがバッファオーバーフローなどのメモリ操作技術を使用することを防ぐ

UEFI セキュアブート
データ実行防止
ASLR• ドライバーに偽装するルートキットからプラットフォームを保護• バッファオーバーフローの悪用を防ぐ• 予期されるメモリ位置に基いて、マルウェア攻撃を軽減

22

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
22

3. まずできることから

23

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

端末を使用する上での心得
各種ソフトウェアそのものやそれらの機能を…

使用しない
最小限に使用
厳格な管理・運用での使用

24

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
24

攻撃に使われる機能の停止
管理者 ID や総当たり攻撃で使用される ID を使用しない• Administrator、Admin、root、owner、test• 管理者共通 ID は使用せず、ベンダも含め、全員、ユニークにする• ログ分析で、攻撃か、正規の操作かが分らなくなる
弱いパスワードを使用しない• P@ssw0rd、1qaz2wsx、qwertyuiop

厳格な脆弱性管理の実施• すべての情報資産を台帳管理し、脆弱性情報の入手先、バージョン、更新プログラムの適用状況を管理する• 定期的に、脆弱性情報を入手し、脆弱性の修正を実施する

25

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
25

最小特権
「管理者」と「標準ユーザー」について• Windows には「管理者」と「標準ユーザー」の2種類がある• 管理者 (Administrator)• パソコンに保存されているすべてのファイルやアプリを操作することができ、すべての設定を変更できる• Administrator 以外でもセキュリティグループである Administrators に所属すると管理者になる• 標準ユーザー (Administrators というグループに所属していないユーザー）• ほとんどのアプリを使用でき、ほかのユーザーアカウントやパソコンのセキュリティに影響しない設定を変更できる
管理者のデメリット• 管理者でログオンしている際に、ウイルスに侵入されると、ウイルスは管理者権限で設定変更が可能となる• ウイルス対策ソフトをアンインストール、若しくは無効にされ暗号化実施を許してしまう
電子カルテの稼働におけるユーザー権限• 管理者でないと稼働しないシステムは、危険性が高くなるので、後述する USB メモリの厳格な運用や、ウイルスの侵入口となる、
電子メール、Webサイトの閲覧をしないなどの運用制限が必要

26

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
26

攻撃に用いられる言語やツールなど
JAVA
Flush Player•プログラミング言語の1つで、Webサービスやアプリ開発に用いられる。
•Webブラウザのプラグインで、動的な変化を見せやすいソフトウェア。2020年にサポート終了。

VNC•Virtual Network Computingの略でRFBプロトコルを用いて、遠隔操作するためのソフトウェア。

RDP•Remote Desktop Protocolの略で、リモートデスクトップサービスを行うためのプロトコル。

VBA•Microsoft Officeに含まれるアプリケーションソフトの拡張機能。

javascript•Webページに動的に見せるプログラミング言語の１つ。

pwdump•Windowsのパスワードファイル（SAMデータベース）からパスワードのハッシュを取得するツール。

Mimikatz•メモリに保存されているパスワードを抽出するMicrosoft Windowsのエクスプロイト。

NLBlute•ブルートフォース（総当たり）攻撃を行うツール。

IPScanner
PsExecPowerShell
WinRM•指定した範囲のIPアドレスをスキャンしてローカルネットワーク上の端末を検出できるツール。
•Windows OSにおけるリモートプログラム実行ツール。

•マイクロソフトが開発した拡張可能なコマンドラインインターフェイス シェルおよびスクリプト言語。
•Windows PowerShellを遠隔から操作する機能。

27

27
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

大阪急性期・総合医療センターのインシデント①

28

令和５年度医療情報セキュリティ研修
及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構
大阪急性期・総合医療センター(opho.jp)28

大阪急性期・総合医療センターのインシデント②

情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)

29

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
29

大阪急性期・総合医療センターの復旧方針
項目

これまで

今後

備考・説明

パスワードポリシー（長さ)

3文字以上（実際にはサーバ12文字、ユーザ9文字で運用）

16文字以上(全ユーザ)

ユーザはICカード＆PINコードでログインされる為、パスワード長による運用影響無し

パスワードポリシー(アカウントロック)

アカウントロックの設定無し

アカウントロックを設定(試行期間：15分、失敗回数：5回まで、ロッ
ク後のリセットまでの時間：15分）

試行期間内のログイン失敗回数によりログイ
ンを制限

パスワードポリシー(一意性)

サーバやユーザのパスワードがすべて同じ

サーバ毎、ユーザID毎に全て異なるパスワー
ドを設定

セキュリティパッチ

構築時点で評価されているものまでを適用全てのサーバ、端末のセキュリティパッチを最新化(2022年11月時点のものを適用)

アンチウィルス

電子カルテ基幹系サーバ4台については未
導入/その他は導入

電子カルテ基幹系サーバ4台にも導入

アプリ実行ユーザ

管理者権限で実行⇒強力な権限を保持

一般ユーザで実行⇒重要なシステム変更などができない適切な範囲の権限のみを保持

UAC(サーバ・クライ
アント)

無効

有効

UAC：管理者権限を要する重要な操作が意図せず自動実行されるのを防ぐ機能

RDPポート

デフォルト(3389)⇒第三者に推察され易い

デフォルトから変更(新たな番号)⇒第三者に推察され難い

RDP：リモートで端末を操作する機能

Active Directory の強化設定

ベンダー設定サーバー：CIS Benchmark
クライアント：IPA ガイドライン

CIS Benchmark

30

Windows Updateのセキュリティ関連のものを適用

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
30

セキュリティ対策における具体的な設定
IPA 情報システム開発契約のセキュリティ仕様作成のためのガイドライン
重要インフラ、大企業基幹系の受託開発に際して、ユーザーとベンダーがセキュリティ仕様を策定する際の、脅威分析とその対策を検討するためのOS、デスクトッププアプリ、ブラウザーのセキュリティ設定を検討するためのガイドライン
CIS Benchmark や米国国防総省 Security Technical Implementation Guides(STIG) をベースに、Windows の具体的なセキュリティ設定を解説している
https://www.softwareisac.jp/ipa/index.php （HTML版）
https://www.ipa.go.jp/files/000087453.docx （Word版）

本研修では、この「情報システム開発契約のセキュリティ仕様作成のためのガイドライン ～Windows Active Directory編～」 から、ランサムウェア対策に有効な設定例を抜粋して説
明します。

31

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
31

Windows Domain Controller の初期値
アカウントポリシー

Windows の既定値

IPA ガイドライン推奨値

パスワードの長さ

7：ドメインコントローラー

14

アカウントロックアウトのしきい値

0回ログオンに失敗

3-5

ロックアウトカウンターのリセット

未定義

15分以上

ロックアウト期間

未定義

15分以上

ローカルポリシー

Windows の既定値

IPA ガイドライン推奨値

ネットワーク経由でのアクセス（SMB, CIFS, NetBIOS, COM+）

Administrators, Authenticated
Users, Enterprise Domain
Controllers, Everyone, PreWindows 2000 Compatible Access

Administrators, Authenticated
Users, ENTERPRISE DOMAINCONTROLLERS

ネットワーク経由でのアクセスを拒否（SMB, CIFS, NetBIOS, COM+）

Guest

Guests

ローカルログオンを許可

Account Operators、
Administrators
Administrators、Backup Operators、Print Operators32

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
32

Windows Domain Controller の初期値
ローカルポリシー - セキュリティオプション – シス
テム設定 – ユーザーアカウント制御

Windows の既定値

IPA ガイドライン推奨値

ビルトイン Administrator アカウントのための管理者承認モードを使用する

無効

有効管理者承認モードでの管理者に対する昇格時のプロンプトの動作Windows 以外のバイナリに対する同意を要求する

セキュリティで保護されたデスクトップで同意を要求する

標準ユーザーに対する昇格時のプロンプトの動作

資格情報を要求する

昇格の要求を自動的に拒否する•セキュリティで保護されたデスクトップで同意を求めるメッセージ•操作で特権の昇格が必要な場合、ユーザーはセキュリティで保護されたデスクトップで [ 許可] または [ 拒否] を選択するように求められます。 ユーザー
が [許可] を選択した場合、操作はユーザーの最も高い使用可能な特権で続行されます。
•セキュリティで保護されたデスクトップで資格情報の入力を求める•特権の昇格を必要とする操作を実行しようとすると、セキュリティで保護されたデスクトップでユーザーにプロンプトが表示され、特権を持つユーザーの名前とパスワードを入力するように求められます。 有効な資格情報を入力すると、そのユーザーが利用できる最も高い特権を使って操作が続行されます
https://learn.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/user-account-control-behavior-of-the-elevation-prompt-for-administrators-in-admin-approval-mode

管理用テンプレート - システム – Windows コン
ポーネント – リモートデスクトップサービス - リ
モートデスクトップ接続のクライアント
パスワードの保存を許可しない

Windows の既定値
未構成（保存を許可）

33

IPA ガイドライン推奨値
有効令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
33

リモートデスクトップの保護
リモートデスクトップ接続のロックアウト設定
リモートデスクトップ接続は既定値でロックアウト設定がなく、総当たり攻撃が可能なため、ロックアウト設定を行う[ファイル名を指定して実行]>[regedit] [OK]をクリック[HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Services¥RemoteAccess¥Para
meters¥AccountLockout] に移動する[MaxDenials] をダブルクリックし、試行回数を入力する 例：10 (10進）[ResetTime] をダブルクリックし、リセット期間（分）を入力する 例：15（10進）
レジストリエディターを終了する

リモートデスクトップ接続のポートの変更
リモートデスクトップ接続は、標準的に TCP/IP の 3389 ポートを使用することとなっている

34

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
34

リモートデスクトップの保護① [regedit] と入力し、[OK] をクリック② [AccountLockout] を選択し,[MaxDenials] をダブルクリック③ [10進] をクリックし、[値のデータ] にロックアウトの回数を入力し、[OK] をクリック

10回連続してログオンエラーの場合は、ロックアウトする
35

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
35

リモートデスクトップの保護⑤ [10進] をクリックし、[値のデータ] にロック解除の分数を入力し、[OK] をクリック
ロックアウトの時間を15分とする
36

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
36

リモートデスクトップの保護
 リモートデスクトップ接続のポートの変更
 リモートデスクトップ接続は、標準的に TCP/IP ポート番号 3389 を使用することとなっている

 この TCP/IP ポート番号 3389 を変更し容易に接続できないようにする ネットワーク探索をされた場合、発見されることもあるが、ポート番号を大きくすれば、探索に時間がかかるため、ランサム攻撃の発見に寄与する [ファイル名を指定して実行]>[regedit] [OK]をクリック
 [HKEY_LOCAL_MACHINE¥System¥CurrentControlSet¥Control¥Terminal Server¥WinStations¥RDP-Tcp]に移動する
 [PortNumber] をダブルクリックし、新しいポート番号を入力する 例：65530 (10進）

 OK をクリックし、レジストリエディターを終了する

ポート変更の際は、導入ベン
ダーに周知してください。
37

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
37

リモートデスクトップの保護① [regedit] と入力し、[OK] をクリック②[PortNumber] をクリック38

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
38

リモートデスクトップの保護③10進をクリックし、値を入力して [OK] をクリック④ 接続の際は、IPアドレスもしくはコン
ピュータ名の後ろに : （コロン）で区切って、設定したポート番号を入力する
ut01sv01:65530
39

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
39

セキュリティの設定を確認しよう Windowsセキュリティの画面でセキュリティ設定ができているか確認する


「

」「」

」は設定が未完了、未設定40

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
40

セキュリティの設定を確認しよう「ユーザーアカウント制御（UAC）」

41

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
41

セキュリティの設定を確認しよう「ファイアウォールの設定」

42

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
42

セキュリティの設定を確認しよう「Exploit Protection」

43

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
43

セキュリティの設定を確認しよう「Windowsの機能の有効化または無効化」【特に注意する機能】• Internet Eploler11（使わなくていいのであれば…）• SMB1.0• PowerShell など

44

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
44

SMB1.0のリスク• Windowsのネットワーク上においてファイルやプリン
ターの共有などを行なうための、Microsoft独自の通信プ
ロトコル

45

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
45

PowerShellの対応①
PowerShell の悪用
Windows に標準搭載されているスクリプト言語 PowerShell は、Windows の設定変更や、プログラムの実行が可能なため、攻撃者にとっては便利なツールとなる
規定値では、スクリプトの実行はできないモードにあり、管理者権限がないと切り替えできないが、ユーザーが管理者権限を持ってい
ると、ウイルスに PowerShell を悪用されてしまう
ウイルスが侵入する経路は、電子メールの添付ファイルと、Webサ
イトのリンクにあることから、これらの閲覧の際に管理者権限を有していると、危険な状態になる
46

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
46

PowerShellの対応②ベンダーが管理目的で使用する PowerShell スクリプトについてベンダーが PowerShell を使用している場合は、PowerShell スクリプトを使用する端末・サーバー名、IPアドレス、スクリプト名、用途の一覧を取得する
PowerShell スクリプトを実行する際には、実行禁止モード (Restricted) から実行許可モード (RemoteSigned）に、都度、切り替えて操作してもらい、使用が終了したら実行禁止モード (Restricted) に戻してもらう
グループポリシーで PowerShell の[スクリプトブロックのログ記録を有効にする]を[有効]にする

47

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
47

[スクリプトの実行を有効にする] を無効にする[DEFAULT DOMAIN POLICY]>[コンピュータの構成]>[ポリシー]>[管理用テンプレー
ト]>[WINDOWS コンポーネン
ト]>[WINDOWS POWERSHELL]> [スクリプトの実行を有効にする]
[無効]

48

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
48

[PowerShell スクリプト ブロックのログ記録を有効にする] を有効にする[Default Domain Policy]>[コンピュータの構成]>[ポリシー]>[管理用テンプレー
ト]>[Windows コンポーネント]>[Windows
PowerShell]> [PowerShell スクリプト ブ
ロックのログ記録を有効にする]
[有効]

49

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業49

USB メモリ、ストレージの厳格な運用①①一般の端末は、リムーバブル
ディスクの読み取り・書き込み・
実行アクセス権を無効にしておく

HIS 系ネットワーク③USB チェック端末は、リムーバブル
ディスクの読み取り・書き込みアクセ
ス権を有効、実行アクセス権を無効にしておく②HIS 系端末から外部に持ち出したいデータは、USB
チェック端末に一旦保存する

HIS系端末ウイルス対策ソフト
Z社

HIS系端末ウイルス対策ソフト
A社④HIS系端末とは異なるベンダーのウイルス対策ソフトをインストール
しておく複数のウイルス対策ソフト
で安全が確認できたこととなる

50

外
部

⑤安全が確認できたら指定のUSB メモリに書き込む
毎回、初期化して貸し出しする返却時に初期化して返却してもらう

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

50

USB メモリ、ストレージの厳格な運用②
指定の USB メモリのスペック
紛失に備えて、パスワードが設定できるものが望ましい
アンチウイルス内蔵タイプはより望ましい

指定 USB メモリだけが読み書きできる
Windows の設定で指定 USB に限定可能
http://takemetothe.main.jp/?p=16580

もしくは市販ソフトで、制御する

何故、指定 USB に限定するのか使用の記録を残すことで、感染・侵入元でないことを証明できる
初期化して使用開始
ファイルをコピーウイルス対策ソフトで未検出51

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

51

USB メモリ、ストレージの厳格な運用③[Default Domain Policy] [コンピュータの構成] [ポリシー] –[管理用テンプレート] [システム] –[リムーバブル記憶域へのアクセス]
CD-ROM、DVDなどの「すべてのリムー
バブル記憶域」を使用しない場合は、このポリシーの有効化を検討して下さい。

スマートフォンは WPD デバイスとして認識されます。

52

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

52

リムバーブルディスク：実行アクセス権の拒否• [実行アクセス権の拒否] を有効にすることで、万一、マルウェアが混入しても、実行されない。
• 既定値は、[実行アクセス権の許可]となっているため、すべての端末では、このPolicy を [有効] にしておく必要がある。

53

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

53

リムバーブルディスク：読み取り・書き込みアクセス権の拒否
一般端末

54

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

54

リムバーブルディスク：読み取り・書き込みアクセス権の拒否
USB 許可端末55

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

55

Windows 11の更なる強化
ウイルス対策ソフトの保護
設定
データの抜き取り対策→ プライバシーとセキュリティ→ Windowsセキュリティ→ デバイスセキュリティ
OS起動前のセキュリティ強化→コア分離→ メモリ整合性

56

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
56

Windows 11の更なる強化
ウイルス対策ソフトの保護
データの抜き取り対策
設定
OS起動前のセキュリティ強化→ プライバシーとセキュリティ→ Windowsセキュリティ→ デバイスセキュリティ→ セキュリティプロセッサ57

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
57

Windows 11の更なる強化
ウイルス対策ソフトの保護
タスクバーの検索アイコンをクリック→ システム情報と入力→ システム情報内のシステム要約の内容を確認
データの抜き取り対策

OS起動前のセキュリティ強化

58

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
58Defenderの活用

59

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
59Defenderの活用目的によってスキャンを使い分ける
フルスキャンはすべてのファ
イル、プログラムをスキャン
オフラインスキャンはシステ
ム動作中には検出できないマ
ルウェアの検出時に用いる

60

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
60

4. 脆弱性情報の収集と対応

61

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

脆弱性情報の入手と事故発生時の連絡先
脆弱性情報の入手先
IPA
JPCERT
各ベンダーの脆弱性情報
医療機関等がサイバー攻撃を受けた場合の厚生労働省連絡先医政局特定医薬品開発支援・医療情報担当参事官室
TEL: 03-6812-7837
MAIL: igishitsu＠mhlw.go.jp（独）情報処理推進機構「脆弱性対策情報」
https://www.ipa.go.jp/security/vuln/index.html

62

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
62

Windows Server Update Services (WSUS)
Windows関連ソフトウェアの効率的なアップデート

WSUSの機能• Windows Server の標準機能• Windows Server 利用のライセンス• 管理者によって配布プログラムを選択63

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
63

様々な脆弱性CISA「2022 Top Routinely Exploited Vulnerabilities」
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a

Top 12 Routinely Exploited Vulnerabilities in 2022
CVE

VendorProduct

Type

CVE-2018-13379

Fortinet

FortiOS and FortiProxySSL VPN credential exposure

CVE-2021-34473(Proxy Shell) Microsoft

Exchange Server

RCE

CVE-2021-31207(Proxy Shell) Microsoft

Exchange Server

Security Feature Bypass

CVE-2021-34523(Proxy Shell) Microsoft

Exchange Server

Elevation of Privilege

CVE-2021-40539

Zoho
ADSelfService PlusManageEngine

RCE/Authentication Bypass

CVE-2021-26084

Atlassian

Confluence Server and Data Center

Arbitrary code execution

CVE-2021- 44228(Log4Shell) Apache

Log4j2

RCE

CVE-2022-22954

VMwareWorkspace ONE Access and Identity Manager

RCE

CVE-2022-22960

VMwareWorkspace ONE Access, Identity Manager, and vRealize Automation Improper Privilege Management

CVE-2022-1388

F5 Networks

BIG-IP

Missing Authentication Vulnerability

CVE-2022-30190

Microsoft

Multiple Products

RCE

CVE-2022-26134

Atlassian

Confluence Server and Data Center

RCE

64

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
64

様々な脆弱性CISA「2022 Top Routinely Exploited Vulnerabilities」
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a

Additional Routinely Exploited Vulnerabilities in 2022
CVE
CVE-2017-0199
CVE-2017-11882
CVE-2019-11510
CVE-2019-0708
CVE-2019-19781
CVE-2020-5902
CVE-2020-1472
CVE-2020-14882
CVE-2020-14883
CVE-2021-20016
CVE-2021-26855(ProxyLogon)
CVE-2021-27065(ProxyLogon)
CVE-2021-26858(ProxyLogon)
CVE-2021-26857(ProxyLogon)
CVE-2021-20021
CVE-2021-40438
CVE-2021-41773
CVE-2021-42013
CVE-2021-20038
CVE-2021-45046
CVE-2022-42475
CVE-2022-24682
CVE-2022-22536
CVE-2022-22963
CVE-2022-29464
CVE-2022-27924
CVE-2022-22047
CVE-2022-27593
CVE-2022-41082
CVE-2022-40684

VendorMicrosoft
Microsoft
IvantiMicrosoft
CitrixF5 Networks
Microsoft
OracleOracleSonicWALL
Microsoft
Microsoft
Microsoft
Microsoft
SonicWALL
ApacheApacheApacheSonicWall
ApacheFortinet
ZimbraSAP
VMware Tanzu
WSO2
ZimbraMicrosoft
QNAP
Microsoft
Fortinet

脆弱性対応はセキュリティ対策の基本 ＝Product
Multiple Products
Exchange Server
Pulse Secure Pulse Connect Secure
Remote Desktop Services
Application Delivery Controller and Gateway
BIG-IP
Multiple Products
WebLogic Server
WebLogic Server
SSLVPN SMA100
Exchange Server
Exchange Server
Exchange Server
Exchange Server
Email Security
HTTP Server
HTTP Server
HTTP Server
SMA 100 Series Appliances
Log4j
FortiOSCollaboration Suite
Internet Communication Manager (ICM)
Spring Cloud
Multiple Products
Zimbra Collaboration Suite
Windows CSRSSQNAP NAS
Exchange Server
FortiOS, FortiProxy, FortiSwitchManager

Type
Arbitrary Code Execution
Arbitrary Code Execution
Arbitrary File Reading
RCE
Arbitrary Code Execution
RCE
Privilege Escalation
RCE
RCE
SQL Injection
RCE
RCE
RCE
RCE
Privilege Escalation Exploit Chain
Server-Side Request Forgery
Server Path Traversal
Server Path Traversal
Stack-based Buffer Overflow
RCE
Heap-based Buffer Overflow‘Cross-site Scripting’
HTTP Request Smuggling
RCE
RCE
Command Injection
Elevation of Privilege
Externally Controlled Reference
Privilege Escalation
Authentication Bypass

脆弱性のない環境（サイバーハイジーン）を作り出すことが重要
65

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
65

端末を使用する上での心得（再掲）
各種ソフトウェアそのものやそれらの機能を…

使用しない
最小限に使用
厳格な管理・運用での使用

66

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業
66

ありがとうございました。
次回は11月30日(木) 「実践編」
復旧対応ついてお話します。
※本日の講義でご紹介したリンク先は、アンケートに記載しております。
本研修ではリアルタイムでの質問はお受けしておりません。
ご質問のある方は、アンケートにご記入ください。
https://forms.gle/e4B88oRW9pRnLBvb9
67

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業